Schutzziele der Informationssicherheit: CIA-Trias

Kurzdefinition: Die klassischen Schutzziele der Informationssicherheit sind Vertraulichkeit, Integrität und Verfügbarkeit (oft als CIA-Triade bezeichnet). Sie bilden den Maßstab, an dem sich die Wirksamkeit von Maßnahmen nach § 30 BSIG bemisst — die Norm nennt genau diese drei Ziele ausdrücklich. [N-BSIG-30]

Der Normwortlaut

§ 30 Abs. 1 Satz 1 BSIG verpflichtet die Einrichtungen, Maßnahmen zu ergreifen, „um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse … zu vermeiden und Auswirkungen von Sicherheitsvorfällen möglichst gering zu halten“. Die drei Schutzziele sind damit im Gesetz verankert. [N-BSIG-30]

Was sind die Schutzziele der Informationssicherheit?

Vertraulichkeit, Integrität, Verfügbarkeit. Vertraulichkeit bedeutet, dass Daten nur für Befugte zugänglich sind; Integrität, dass Daten unverändert und korrekt bleiben; Verfügbarkeit, dass Systeme und Daten nutzbar sind, wenn sie gebraucht werden. Ergänzt werden sie oft um Authentizität und Nachvollziehbarkeit. [N-BSIG-30]

Warum sind die Schutzziele für NIS-2 wichtig?

Sie sind der gesetzliche Maßstab. Jede Maßnahme nach § 30 BSIG schützt letztlich eines oder mehrere dieser Ziele. Wer eine Maßnahme bewertet, fragt: Welches Schutzziel adressiert sie und wie wirksam? Die Schutzziele machen Sicherheit strukturierbar und überprüfbar. [N-BSIG-30]

Wie hängen die Schutzziele zusammen?

Sie können in Spannung stehen. Maximale Vertraulichkeit (etwa starke Verschlüsselung) kann die Verfügbarkeit gefährden, wenn Schlüssel verloren gehen. Gutes Risikomanagement gewichtet die Ziele je nach Schutzbedarf, statt eines einseitig zu maximieren. [N-BSIG-30]

Welches Schutzziel trifft Ransomware?

Vor allem die Verfügbarkeit. Verschlüsselte Daten sind nicht mehr nutzbar. Bei doppelter Erpressung kommt die Vertraulichkeit hinzu (Drohung mit Veröffentlichung). Backups schützen die Verfügbarkeit, Verschlüsselung die Vertraulichkeit — verschiedene Ziele, verschiedene Maßnahmen. [N-BSIG-30]

Wie nutzt die Geschäftsleitung die Schutzziele?

Als Ordnungsraster. Indem sie jede Sicherheitsmaßnahme einem Schutzziel zuordnet, erkennt sie Lücken und vermeidet, ein Ziel auf Kosten eines anderen zu überoptimieren. [N-BSIG-30]

Häufige Fehlannahmen

„Sicherheit heißt nur Vertraulichkeit.“ Nein. Integrität und Verfügbarkeit sind gleichrangige Ziele. [N-BSIG-30]
„Die Schutzziele stehen nur in Normen, nicht im BSIG.“ Nein. § 30 Abs. 1 BSIG nennt sie ausdrücklich. [N-BSIG-30]
„Man kann ein Ziel bedenkenlos maximieren.“ Nein. Ziele können in Spannung stehen (z. B. Verschlüsselung vs. Verfügbarkeit). [N-BSIG-30]
„Ransomware betrifft nur die Vertraulichkeit.“ Nein. Primär die Verfügbarkeit; bei doppelter Erpressung auch die Vertraulichkeit. [N-BSIG-30]
„Backups schützen die Vertraulichkeit.“ Nein. Sie schützen die Verfügbarkeit. [N-BSIG-30]
„Authentizität gehört nicht dazu.“ Sie ergänzt die drei Kernziele, ersetzt sie aber nicht. [N-BSIG-30]

Was die Geschäftsleitung tun sollte

Zuordnen. Jede Maßnahme einem Schutzziel zuordnen.
Schutzbedarf bestimmen. Für Daten und Prozesse den Bedarf je Ziel festlegen.
Abwägen. Ziele nach Schutzbedarf gewichten, nicht einseitig maximieren.
Lücken schließen. Ungeschützte Ziele gezielt adressieren.

Für die Geschäftsleitung

Vertraulichkeit, Integrität, Verfügbarkeit sind der gesetzliche Maßstab jeder Maßnahme nach § 30 BSIG. Wer jede Sicherheitsmaßnahme einem dieser Ziele zuordnet, erkennt Lücken früh und vermeidet die typische Falle, ein Ziel auf Kosten eines anderen zu überoptimieren.